Configurar e testar Wireless Mesh no Sophos Firewall numa instalação APX existente

Wireless Mesh no Sophos Firewall liga sem fios um ou mais Sophos Access Points APX a um AP raiz com cabo. Pode cobrir uma falha de sinal onde não existe Ethernet. O backhaul mesh não é o SSID WLAN visível: o SFOS cria uma rede WPA2-Personal oculta com uma passphrase aleatória. Os clientes continuam a usar um Wireless Network configurado separadamente.

⚠️ Importante: Este guia aplica-se a instalações APX existentes geridas diretamente pelo SFOS. APX só forma mesh com APX. AP6, LocalWiFi integrado, módulos Wi-Fi SD-RED e séries de AP Sophos misturadas ficam fora deste processo. A mesh também não substitui redundância por cabo: pelo menos um AP permanece ligado à LAN e o SFOS não muda automaticamente de root se o AP raiz falhar.

Âmbito: operação de uma instalação existente, não uma nova plataforma WLAN

Os passos seguintes descrevem mesh legado gerido pela firewall para um conjunto APX existente, não a implementação de uma nova plataforma APX ou UTM. Antes de qualquer alteração, é necessário confirmar o suporte para o modelo concreto de AP, a respetiva revisão de hardware e o build do SFOS efetivamente utilizado. A ajuda de Wireless do SFOS 22 e do SFOS 23 contém procedimentos mesh antigos; a existência de uma página de ajuda não comprova o suporte do hardware. Em particular, não se deve concluir daí que é possível atualizar uma instalação APX para o SFOS 23. Se o suporte não estiver confirmado, manter a configuração existente e esclarecer primeiro a compatibilidade entre modelo e build e a migração.

AP6 mesh utiliza uma via de gestão diferente: num conjunto AP6 gerido centralmente, a configuração é feita no Sophos Fusion, anteriormente Sophos Central, e não em Wireless > Mesh networks na firewall. Uma Sophos Firewall pode continuar a funcionar como router e perímetro de segurança no caminho dos dados, mas não passa a ser o controlador AP6. APX e AP6 não podem integrar a mesma rede mesh. O registo e os requisitos de rede para esta via separada são explicados em Requisitos do Sophos Central Wireless; o planeamento específico, a configuração mesh e a validação estão em Planear e configurar AP6 mesh. As funções APX, as atribuições de SSID e os passos de reversão aqui apresentados não se aplicam a AP6.

O modelo para exterior APX 320X não está abrangido por este procedimento gerido pela firewall. As referências à antiga série Sophos AP e às funções manuais em guias mais antigos explicam instalações históricas, não uma nova instalação atualmente suportada. O LocalWiFi integrado e os módulos Wi-Fi SD-RED também não substituem os dois APX externos do exemplo; os respetivos requisitos de WLAN e de modelo têm de ser verificados separadamente. Este artigo não dá continuidade aos guias UTM nem os recomenda como via para uma nova configuração.

Processo rápido:

1. Ligar primeiro ambos os APX por LAN, aceitá-los em Wireless > Access points e verificar firmware, Country e planeamento de rádio.
2. Definir o mesmo canal fixo em todos os AP envolvidos para a banda mesh e desativar Dyn chan.
3. Configurar Mesh-ID, Frequency band e os APX em Wireless > Mesh networks > Add.
4. Atribuir separadamente o SSID de cliente visível a ambos os APX.
5. Guardar, desligar o cabo LAN do AP mesh, reiniciar os APX e aguardar até cinco minutos.
6. Testar de forma controlada estado do AP, ligação do cliente, DHCP, Rule ID, Internet e falha do caminho root.

Quando uma mesh APX é adequada

Uma mesh é adequada a uma instalação APX existente quando um access point remoto não tem Ethernet e a ligação rádio ao AP raiz é suficientemente estável. Exemplos são uma pequena zona de armazém, sala de reuniões ou área temporária que será cablada mais tarde.

Um uplink Ethernet continua a ser melhor para capacidade elevada contínua, latência estável e failover previsível. O backhaul mesh partilha tempo de rádio com outras transmissões. Deve medir-se o desempenho real com clientes e aplicações previstos, sem o deduzir do estado do link.

O limite do produto também conta: APX está End-of-Sale e chega ao End-of-Life em 31 de dezembro de 2027. O ciclo de vida APX e AP6 como sucessor deve entrar no planeamento. AP6 não é gerido pelo SFOS.

Compreender backhaul mesh, SSID de cliente e funções

Os componentes têm funções diferentes:

• Mesh network: backhaul rádio oculto entre APX. O Mesh-ID identifica o grupo; o SFOS gere a passphrase WPA2 aleatória.
• AP raiz: APX com Ethernet até à firewall. Em APX, a função resulta automaticamente da cablagem.
• AP mesh: APX sem uplink Ethernet que alcança o AP raiz por rádio.
• Wireless Network: SSID visível com Security mode, Client traffic, DHCP e regras. A base está em Configurar WLAN diretamente no Sophos Firewall.

Nas séries Sophos AP antigas, root e mesh são atribuídos explicitamente. Este artigo usa apenas APX e não transfere esse ecrã antigo para os passos.

Repetidor ou wireless bridge

Como repetidor, o AP mesh transmite o SSID de cliente no local remoto. Os endpoints ligam-se por Wi-Fi e o AP transporta o tráfego pelo backhaul até ao AP raiz.

Num wireless bridge, liga-se também um segmento Ethernet à porta do AP mesh. O design prolonga Layer 2 e pode criar loops se existir um segundo caminho com cabo. Deve ser aplicado numa janela de manutenção com recuperação documentada. STP tem de corresponder a todo o design de switches e bridges; não é desativado apenas porque bloqueia um caminho.

Para pequenas extensões, repetidor é mais simples. Usar bridge apenas se o segmento Ethernet remoto for necessário e o comportamento de broadcast, VLAN e loops for compreendido.

Verificar limites antes da configuração

Uma mesh APX tem limites claros:

• Todos os access points envolvidos pertencem à série APX.
• Só pode existir uma rede mesh por AP.
• Pelo menos um APX fica ligado por LAN à firewall.
• Todos os AP mesh usam o mesmo canal na banda mesh.
• Dynamic Channel Selection ou Dyn chan não pode estar ativo nessa banda, pois os canais podem divergir após reinício.
• Em APX, ambas as rádios não podem usar 5 GHz ao mesmo tempo com mesh.
• AP com VLAN atribuída só formam mesh se as VLAN não usarem Client traffic Bridge to VLAN.
• Uma segunda mesh no mesmo AP não funciona.
• Outro AP mesh não assume automática e ininterruptamente a falha do AP raiz.

A ajuda Sophos indica 2.4 GHz para backhaul e 5 GHz para SSID de clientes como possível início. Não é uma best practice universal. Distância, paredes, interferência, canais, Country e capacidade determinam o design.

Interpretar o conflito entre documentos: o guia de implementação mais antigo indica 5 GHz no AP raiz e 2.4 GHz no AP mesh; o guia para adicionar uma rede distingue, por sua vez, 5 GHz para os SSIDs de cliente de 2.4 GHz para o backhaul mesh. Estas formulações não devem levar à utilização de bandas de backhaul diferentes no AP raiz e no AP mesh. Para o procedimento aqui documentado para uma instalação existente, ambos os AP têm de utilizar a mesma banda mesh escolhida e o mesmo canal fixo. O exemplo 2.4 GHz não é obrigatório; antes de usar outra banda, verificar o suporte do modelo e do build e o percurso da ligação rádio. Mantém-se a limitação APX que impede a configuração simultânea de ambos os rádios em 5 GHz.

Planear a topologia de exemplo

O exemplo usa:

• Firewall: fw01
• APX com cabo: ap-office-root
• APX sem fios: ap-warehouse-mesh
• Mesh-ID: OfficeMesh
• Wireless Network visível: Company WiFi
• Banda mesh: 2.4 GHz
• Canal mesh: canal fixo testado localmente

OfficeMesh é um exemplo e é substituído por nome local curto e único. Mesh-ID não é o SSID visível. Company WiFi já existe com Client traffic, DHCP, regras e NAT corretos.

Antes da alteração, preparar backup atual, gestão por cabo e rollback. Ambos os APX recebem PoE e são testados ao alcance das posições finais. O AP raiz deve continuar acessível por Ethernet.

Preparar access points e canal rádio

Aprovisionar primeiro ambos os APX por LAN

1. Ligar ap-office-root e ap-warehouse-mesh por Ethernet à rede de gestão.
2. Em Wireless > Wireless settings, verificar Wireless Protection e a zona em Allowed zone.
3. Em Wireless > Access points, aceitar ambos os APX pending com Accept.
4. Definir o Country correto. Após alteração, guardar e reiniciar controladamente para atualizar canais.
5. Confirmar que ambos estão ativos e receberam a configuração.

A ligação inicial por cabo é obrigatória. Um APX sem configuração mesh não pode aderir depois só por rádio.

Planear também o firmware APX através dos Pattern Updates do Sophos Firewall. Não combinar atualização e mudança para mesh sem controlo.

Definir um canal fixo comum

1. Abrir o primeiro APX em Wireless > Access points.
2. Em Advanced settings, definir um canal fixo testado no campo Channel 2.4 GHz ou Channel 5 GHz correspondente.
3. Desativar Dyn chan nessa banda.
4. Aplicar a mesma definição ao segundo APX.
5. Colocar AP próximos fora da mesh noutro canal pouco interferido quando possível.

O canal resulta de scan local, Country e ocupação vizinha, não do exemplo. Após qualquer mudança, ambos os AP mesh mostram o mesmo valor.

Criar Wireless Mesh no SFOS

Criar a rede mesh

Para o backhaul mesh, cria-se uma nova rede mesh dedicada ou um novo SSID mesh dedicado; o SSID de cliente visível existente, Company WiFi, não é convertido numa rede mesh. A ajuda utiliza tanto Mesh-ID como mesh-enabled SSID para este efeito. Se a interface existente só disponibilizar Enable mesh mode ao criar um novo SSID, utilizar este procedimento legado documentado apenas no modelo e build cujo suporte foi confirmado e manter o SSID de cliente separado. Está prevista apenas uma rede mesh por AP. Todos os AP envolvidos têm de receber o mesmo Mesh-ID; partilham a passphrase WPA2-Personal gerada aleatoriamente pelo SFOS. Esta não é a passphrase da WLAN de clientes.

1. Abrir Wireless > Mesh networks.
2. Selecionar Add.
3. Introduzir OfficeMesh como Mesh-ID.
4. Em Frequency band, escolher a banda comum, 2.4 GHz no exemplo.
5. Adicionar ap-office-root e ap-warehouse-mesh.
6. Guardar.

Em APX não se atribui manualmente uma função. Enquanto ambos estão cablados, recebem a configuração. Depois de desligar ap-warehouse-mesh, ap-office-root permanece root por ter Ethernet.

Atribuir o SSID de cliente visível

A rede mesh não é visível aos endpoints. Em Wireless > Access points ou num Access Point Group adequado, atribuir também Company WiFi aos dois APX.

O SSID mantém Security mode e Client traffic próprios. Em Separate zone, Wireless interface, DHCP, regra, NAT e Device Access têm de estar corretos. Mesh funcional não corrige regra WLAN ausente nem caminho DHCP errado.

Mover o AP mesh para o destino

1. Confirmar que configuração e SSID chegaram aos dois APX.
2. Retirar Ethernet apenas de ap-warehouse-mesh.
3. Manter ap-office-root cablado.
4. Colocar e ligar o AP mesh no destino; desta forma, arranca já sem Ethernet.
5. Reiniciar o AP raiz de forma controlada. Se a deslocação não tiver desligado a alimentação do AP mesh, reiniciá-lo também agora.
6. Aguardar até cinco minutos antes de considerar falha.

No funcionamento normal só um APX fica por LAN. Se o segundo for ligado por engano ao mesmo Layer 2, verificar loops e efeito de STP.

Validar Wireless Mesh de forma controlada

Combinar estado do controlador, rádio e tráfego real:

1. Em Wireless > Access points, ambos estão ativos. ap-office-root tem cabo; ap-warehouse-mesh está acessível sem Ethernet.
2. Verificar atribuição mesh e canal idêntico.
3. Ligar um cliente perto de ap-warehouse-mesh a Company WiFi.
4. Em Wireless > Wireless client list, apresentar o cliente de teste por AP ou SSID e verificar se está ligado ao AP mesh esperado e a Company WiFi. Registar a intensidade do sinal e a frequência e repetir a verificação em condições semelhantes ao comparar com o AP raiz; a frequência apresentada para o cliente, por si só, não comprova a banda do backhaul.
5. Comparar IP, gateway e DNS com o Wireless Network planeado.
6. Testar um destino permitido e um bloqueado.
7. Em Log Viewer, filtrar pelo IP e confirmar Firewall Rule ID e NAT Rule ID.
8. Comparar throughput e latência realistas com um cliente no AP raiz.

Estado verde não confirma todo o caminho. O cliente deve usar AP, endereço e regras previstos, com desempenho suficiente. Ver Testar regras de firewall corretamente.

Testar conscientemente o limite de falha

O AP raiz é uma dependência. Numa janela, desligar brevemente o uplink e documentar a interrupção. O SFOS não promete mudança automática de root. Um AP mesh pode precisar de reinício e cabo para assumir nova função.

Não desligar sem plano um root produtivo. Para áreas críticas, usar uplink com cabo ou outra arquitetura WLAN.

Enquadrar com segurança o objeto Mesh na XML API

As referências XML para SFOS 22 e 23 descrevem Add Mesh Networks e Update Mesh Networks para o objeto WirelessMeshNetworks. Trata-se de uma estrutura de objeto documentada, não de uma aprovação adicional de hardware: o âmbito dos APX existentes, a verificação do modelo/build e a via de gestão separada para AP6 indicados acima mantêm-se inalterados. A proteção do acesso, as operações explícitas, as respostas XML e as repetições seguras são explicadas em Proteger o acesso à XML API da Sophos Firewall.

Distinguir MeshID, banda e função do AP

Ao preparar uma automatização, é necessário distinguir estes campos:

• MeshID é uma string escalar obrigatória com um máximo de dez caracteres. OfficeMesh serve como nome de exemplo curto; continua a ser o ID do backhaul, não o SSID visível para os clientes. Não interpretar o marcador de referência adicional APINTERFACENAME como uma regra de caracteres autoexplicativa nem como a identidade do AP; confirmar o formato permitido no build instalado.
• FrequencyBand é obrigatório e permite exatamente 5GHz ou 2.4GHz. A tabela indica 5 GHz como valor predefinido documentado, não como recomendação para todos os percursos de rádio. A notação combinada 5GHz/2.4GHz no exemplo de referência não consta da lista de valores permitidos e não é adotada como valor único do campo. Todos os APs envolvidos continuam a necessitar da mesma banda de backhaul confirmada e do mesmo canal fixo; Dyn chan mantém-se desativado nessa banda.
• Description é uma string escalar opcional. Um elemento vazio no exemplo não demonstra como uma atualização trata uma descrição existente.
• AccessPoints contém MeshNetwork no exemplo XML; dentro deste, AccessPoint e Role aparecem em conjunto. A tabela de parâmetros descreve ambos os campos como arrays opcionais com vários valores e assinala que os duplicados não são ignorados. Não deduzir daí a existência de duas listas que possam ser ordenadas de forma arbitrária e independente, nem uma deduplicação automática. Verificar em conjunto a identidade do AP e a função correspondente face à configuração existente e à API help do build.
• Para Role, estão documentados exatamente MeshAccessPoint e RootAccessPoint; a tabela indica Root Access Point como valor predefinido. Estes valores XML provêm da referência da API, não dos termos Root, Mesh ou Repeater da GUI. Em particular, a atribuição automática de funções aos APX através de Ethernet não demonstra se Role deve ser definido, omitido ou tratado de outra forma no payload APX concreto. Se a correspondência entre modelo e build não estiver esclarecida, não enviar qualquer pedido de escrita.

O seguinte excerto limitado da estrutura XML não é um pedido executável nem uma atribuição de função APX. Mostra apenas o aninhamento documentado com um valor de referência para Role; AP_IDENTITAET_AUS_API_HELP é um marcador de posição que não pode ser enviado. A identidade AP30 do exemplo do fabricante não é adotada como exemplo APX:

<WirelessMeshNetworks>
  <MeshID>OfficeMesh</MeshID>
  <FrequencyBand>2.4GHz</FrequencyBand>
  <Description />
  <AccessPoints>
    <MeshNetwork>
      <AccessPoint>AP_IDENTITAET_AUS_API_HELP</AccessPoint>
      <Role>RootAccessPoint</Role>
    </MeshNetwork>
  </AccessPoints>
</WirelessMeshNetworks>

Antes de efetuar uma alteração, consultar e guardar a configuração do conjunto efetivamente armazenada, incluindo o ID de Mesh, as identidades dos APs, as atribuições e os parâmetros de rádio, e compará-la com o estado de destino planeado. O excerto não contém autenticação nem uma operação e não substitui um payload completo confirmado. A estrutura XML não garante uma repetição segura nem uma ligação de rádio funcional; continua a ser necessária a validação separada do estado dos APs, do SSID dos clientes, do DHCP e do percurso dos dados de utilizador.

Distinguir as respostas por operação, código e símbolo

As referências associam às duas operações os seguintes códigos de estado XML e chaves Message.* literais. As chaves não estão resolvidas: não são mensagens de execução confirmadas e não são traduzidas para supostos textos de mensagens de erro. A correspondência específica do objeto tem de ser verificada com a API help do build instalado; em particular, não interpretar aqui 521 e 522 apenas com base na tabela geral de estados do artigo central sobre a API.

Add Mesh Networks:

• 200: Message.WLANAPAddSuccessful.
• 500: Message.WLANAPAddFailed.
• 501: Message.WLANAPIPAlreadyInUsed.
• 504: Message.WLANAPIntBaseVHExist.
• 521: Message.WLANAPAddRunConfigFailed.
• 522: Message.WLANAccessPointUnbound.

Update Mesh Networks:

• 200: Message.WLANAPEditSuccessful.
• 500: Message.WLANAPEditFailed.
• 501: Message.WLANAPIPAlreadyInUsed.
• 504: Message.WLANAPIntBaseVHExist.
• 511: Message.WLANAPFailedWhileUnbinding.
• 512: Message.WLANAPFailedWhileDeleteDHCPServer.
• 513: Message.WLANAPFailedWhileDeleteDHCPRelay.
• 516: Message.WLANAPFailedToUnbindInterface.
• 520: Message.WLANAPFailedToUnbindIfaceRCg.
• 521: Message.WLANAPEditRunConfigFailed.
• 523: Message.WLANAPWLAN1UnboundEditFaild.
• 524: Message.WLANAPOtherUnboundEditFaild.

A grafia Faild também se mantém exatamente. Não deduzir dos nomes dos símbolos uma causa comprovada, a reversão completa de uma alteração ou a eliminação já efetuada de uma dependência de DHCP/interface. Após uma resposta pouco clara ou de falha, comparar primeiro o estado de Mesh e dos APs efetivamente guardado, bem como as configurações dependentes de Wireless, interfaces e DHCP, com o estado inicial guardado; guardar a resposta expurgada de dados sensíveis e os registos para esclarecimento. Decidir sobre uma nova alteração apenas após o esclarecimento específico do build, sem repetir automaticamente o mesmo Add ou Update. Mesmo 200 não substitui a consulta do objeto de destino nem a validação do rádio e dos clientes indicada acima.

Diagnosticar por sintoma

AP mesh não aparece ou fica offline

Aguardar até cinco minutos. Confirmar que esteve ativo no aprovisionamento por LAN e recebeu a configuração. Depois verificar série APX, atribuição, banda, canal comum, Dyn chan, Country e energia.

O AP raiz mantém cabo. Se ambos estão sem fios ou o AP errado perdeu Ethernet, falta caminho para a firewall. Corrigir, reiniciar e aguardar.

Se, num procedimento antigo, a opção Enable mesh mode não aparecer num SSID existente, criar um novo SSID em vez de reutilizar o SSID de cliente visível. Se a causa continuar incerta, isolar o caminho numa janela de manutenção: transmitir apenas a rede mesh no AP raiz e apenas o SSID de cliente visível no repetidor. Se o SSID de cliente aparecer no repetidor, isso indica, numa primeira análise, que a configuração de cliente está a ser transmitida, mas ainda não comprova plenamente o funcionamento do backhaul nem o acesso à Internet. Verificar também se o repetidor está efetivamente acessível sem uplink LAN, se o cliente de teste aparece na lista de clientes associado a esse AP e se o DHCP previsto e o caminho de dados permitido funcionam. Em seguida, repor as atribuições normais. Se a mesh continuar inutilizável, verificar se o STP está a bloquear a configuração mesh. Não desativar o STP indiscriminadamente: este protocolo evita loops em topologias bridge.

SSID de cliente não aparece

Mesh-ID não é transmitido como SSID. Em Wireless > Access points, atribuir também um Wireless Network visível. Só OfficeMesh não oferece rede aos endpoints.

Verificar Frequency band, horário, Security mode e atribuição. Uma segunda mesh no AP não resolve, pois só uma é suportada.

Cliente liga mas não recebe IP

Nesta situação, a ligação de rádio entre o cliente e o AP já funciona parcialmente. Em seguida, verificar a definição Client traffic, a Wireless interface, o servidor DHCP ou DHCP relay e os possíveis caminhos através de VLAN. Em Bridge to VLAN, respeitar também a limitação do produto: os AP atribuídos a VLAN só podem formar mesh se essas VLAN não utilizarem este modo de Client traffic.

Reiniciar o serviço de rede sem fios (wireless service) não é um passo de diagnóstico padrão. Primeiro, identificar o AP ao qual o cliente está efetivamente ligado e verificar se os pedidos DHCP chegam pelo caminho previsto.

Cliente tem IP mas não tem Internet

No Log Viewer, filtrar pelo endereço IP do cliente de teste e procurar primeiro os Firewall Rule ID e NAT Rule ID esperados. Se ambos estiverem ausentes, o problema é mais provável na zona, no objeto de rede, na ordem das regras ou no caminho de dados do que na própria mesh. Se os identificadores corresponderem às regras esperadas, verificar em seguida o DNS, o gateway e o caminho para a WAN.

Não utilizar uma regra Any ampla para diagnosticar a mesh. Executar o mesmo teste de cliente uma vez no AP raiz (root) e outra no AP mesh. Se o teste só tiver sucesso no AP raiz, investigar o backhaul com mais detalhe. Se falhar em ambos os AP, o problema estará provavelmente na configuração WLAN ou de firewall comum aos dois.

Ligação instável ou lenta

Verificar mesmo canal, Dyn chan desligado, sinal, interferência, distância e paredes. AP fora da mesh não devem ocupar o canal sem necessidade. Deve restar capacidade para backhaul e clientes.

Comparar mesma aplicação e cliente em condições semelhantes no root e mesh. Assim separa-se mesh de WAN, DNS ou cliente.

Estado de controlador ou cliente continua incerto

Os logs de serviço do Sophos Firewall ajudam no diagnóstico local do nó em questão. Na Advanced Shell, as seguintes verificações limitam-se a ler os logs:

tail -n 200 /log/awed.log
tail -n 200 /log/wc_remote.log

awed.log mostra a comunicação entre o controlador e os APX; wc_remote.log ajuda no diagnóstico dos clientes de rede sem fios. Uma única entrada de log não comprova que o caminho do tráfego de utilizador funciona. É necessário correlacionar os carimbos de data e hora, o estado dos AP, a lista de clientes e os logs da firewall com um teste de tráfego reproduzível. Os LED e códigos dos Sophos Access Points ajudam também a interpretar os estados de arranque, atualização e mesh no dispositivo.

Reverter a mesh em segurança

Distinguir o SSID mesh do SSID de cliente ao reverter a configuração: a ajuda mais antiga descreve a desativação através da eliminação do SSID mesh. Isto refere-se ao objeto de configuração mesh correspondente, não, de forma indiscriminada, ao SSID de cliente visível Company WiFi. Antes de eliminar, conferir o Mesh-ID, as atribuições de AP e as dependências, guardar uma cópia de segurança da configuração atual e garantir que os AP ficam acessíveis pelo caminho de rede por cabo previsto. A remoção do backhaul interrompe a ligação dos AP ligados sem fios; eliminar um SSID de cliente que continue a ser necessário desligaria também os utilizadores dessa WLAN. Consoante a interface legada, a reversão é feita através da rede mesh ou do respetivo SSID mesh. Se não for possível identificar inequivocamente o objeto correspondente, não eliminar com base numa suposição; esclarecer primeiro a configuração concreta do modelo e do build.

Fazer rollback enquanto a gestão por cabo funciona:

1. Documentar APX root e mesh.
2. Voltar a ligar o AP mesh por LAN e aguardar estado ativo.
3. Se necessário, mover o SSID visível para um AP cablado.
4. Remover a mesh dos APX ou em Wireless > Mesh networks.
5. Restaurar canal e Dyn chan apenas conscientemente.
6. Reiniciar ambos controladamente.
7. Testar de novo IP, DNS, regras e Internet.

Reset de fábrica só faz sentido se o APX não aceitar configuração apesar de cabo, energia e controlador corretos. Não substitui rollback.

Checklist operacional

• Todos os dispositivos são APX compatíveis e foram aprovisionados por LAN.
• Existe exatamente uma mesh por AP.
• Um APX permanece cablado como root.
• Banda e canal fixo coincidem em todos.
• Dyn chan está desligado na banda mesh.
• O SSID visível foi atribuído separadamente.
• DHCP, Firewall Rule ID, NAT Rule ID e um destino bloqueado foram testados.
• Desempenho e estabilidade foram comparados no root e mesh.
• Falha do root, ausência de takeover e rollback estão documentados.
• End-of-Life APX e futura mudança de plataforma estão planeados.

FAQ